OSV-Scanner 是 Go 实现的命令行形式的漏洞扫描工具,也是为 OSV 数据库提供官方支持的前端,开发者使用该工具可检查开源项目的依赖项是否存在漏洞。 OSV 是一个开源漏洞数据库。对于开发者来说,OSV 的自动化功能有助于减轻分类负担,每个漏洞都会经过自动分析,以确定受影响的提交和版本范围。 OSV-Scanner 会收集项目中使用的依赖项和版本列表,然后通过 OSV.dev API 将此列表与 OSV 数据库进行匹配。如需构建依赖项列表,可以将 OSV-Scanner 指向项目目录,或手动将路径传递到各个清单文件。 根据官方介绍,与闭源漏洞数据库和扫描器相比,OSV-Scanner 主要有以下优势:
  • 每个咨询都有一个开放和权威的来源(例如 RustSec 咨询数据库)
  • 任何人都可以对咨询提出改进建议,从而得到一个超高质量的数据库
  • OSV 格式以机器可读的格式明确存储受影响版本的信息,并精确映射到开发人员的软件包列表上
  • 更少、更可操作的漏洞通知,减少企业解决漏洞所需的时间


本资源支持小程序内下载,请微信扫描下方的二维码